Is LastPass nog wel veilig?

LastPass kondigde afgelopen maand aan dat het gehackt is. Topman Karim Toubba schrijft in een blog dat een 'onbevoegde partij' via een ontwikkelaarsaccount toegang heeft verkregen tot delen van de ontwikkelomgeving van LastPass. Volgens Toubba zijn daarbij broncodes buitgemaakt, naast technische data over het LastPass-platform.

Niet de eerste keer

Het is niet de eerste keer dat LastPass ten prooi viel aan hackers. In 2021 werd bekend dat hackers toegang hadden gekregen tot master passwords van diverse gebruikers. Een master password is het wachtwoord dat je in LastPass gebruikt om toegang te krijgen tot de kluis met al je opgeslagen wachtwoorden. LastPass ontkende toen dat er wachtwoorden waren gelekt, maar diverse gebruikers kregen wel degelijk mails met de waarschuwing dat een onbekende een poging had gedaan om in te loggen op hun accounts.

In 2020 had LastPass last van een wereldwijde storing, waardoor gebruikers niet konden inloggen op hun accounts en wachtwoorden niet meer automatisch werden ingevuld. En in 2019 waarschuwden diverse onafhankelijke veiligheidsexperts voor de veiligheidsrisico’s rond de wachtwoordmanager.

© CIDimport

Het is niet de eerste keer dat er een lek in LastPass is gevonden.

Wat betekent dit voor jou?

Er is dus regelmatig iets aan de hand bij LastPass. Tot dusver zijn de problemen voor gebruikers echter minimaal. Ook bij de laatste hack zijn er geen wachtwoorden buitgemaakt. “We hebben geen bewijs gezien dat hackers toegang hebben verkregen tot gebruikersdata of versleutelde wachtwoordkluizen”, aldus Toubba. De hackers wisten alleen binnen te dringen op een ontwikkelaarsaccount.

Dat neemt niet weg dat het zorgwekkend is dat een van de grootste wachtwoordmanagers, met 20 miljoen gebruikers wereldwijd, bijna jaarlijks grote beveiligingsproblemen heeft. Er zijn afgelopen maand wel degelijk broncodes en gevoelige bedrijfsinformatie buitgemaakt, en de kans op een aanval waarbij wachtwoorden van gebruikers op straat komen te liggen is wel degelijk aanwezig.

Dit is ook waarom veiligheidsexperts hameren op het belang van opensourcecodes. Met opensource-wachtwoordmanagers, zoals Bitwarden, worden alle codes gecontroleerd door onafhankelijke experts. Dat zorgt ervoor dat zwakke punten in de beveiliging in een vroeg stadium worden ontdekt.

Toch geen goed gevoel bij LastPass? Probeer een van de vele alternatieven, waaronder de opensource-tool Bitwarden.

LastPass zegt wel actie te ondernemen om toekomstige problemen te voorkomen. Er is een onafhankelijk cyberbeveiligingsbedrijf ingeschakeld om te onderzoeken wat er precies is gebeurd. Ook worden er extra maatregelen doorgevoerd om de beveiliging op te schroeven, zonder te specificeren om wat voor maatregelen het precies gaat.

Of de maatregelen voldoende zijn om een nieuwe hack te voorkomen, moet nog blijken, maar het is goed dat het bedrijf in elk geval actie onderneemt. Hoewel we in principe nog steeds te spreken zijn over LastPass, zijn er ook voldoende sterke alternatieven. In een ander artikel gaan we uitgebreid in op alternatieven voor LastPass.